کمپین Ghost از ۷ بسته npm برای سرقت کیف پول‌های رمزارز و اطلاعات کاربری استفاده می‌کند

محققان امنیت سایبری مجموعه‌ای جدید از بسته‌های مخرب در مخزن npm کشف کرده‌اند که برای سرقت کیف پول‌های ارز دیجیتال و داده‌های حساس طراحی شده‌اند. این کمپین که توسط شرکت ReversingLabs با نام «Ghost» ردیابی می‌شود، شامل بسته‌هایی نظیر react-performance-suite، ai-fast-auto-trader و coinbase-desktop-sdk است که همگی توسط کاربری با نام «mikilanjillo» منتشر شده‌اند. این بسته‌ها با نمایش لاگ‌های جعلی نصب، کاربران را فریب می‌دهند تا رمز عبور مدیر سیستم (sudo password) خود را وارد کنند؛ سپس بدافزار به‌صورت مخفیانه یک دانلودکننده مرحله بعدی را بازیابی می‌کند که از طریق یک کانال تلگرام، آدرس بارگذاری نهایی (payload) را دریافت کرده و در نهایت یک تروجان دسترسی از راه دور (remote access trojan) را مستقر می‌سازد.

شرکت Jamf Threat Labs نیز گزارش داده که کمپین مرتبط با نام GhostClaw از مخازن گیت‌هاب و جریان‌های کاری مبتنی بر هوش مصنوعی (AI-assisted workflows) برای توزیع بدافزار سرقت اطلاعات روی سیستم‌عامل macOS بهره می‌برد؛ برخی از این مخازن با جمع‌آوری صدها ستاره، وجهه‌ای معتبر به خود گرفته‌اند. بر اساس گزارش شرکت Panther، این بدافزار از یک مدل درآمد دوگانه استفاده می‌کند: درآمد اصلی از طریق سرقت اطلاعات اعتباری (credentials) شامل کیف پول‌های ارز دیجیتال، کلیدهای SSH و توکن‌های ابری، و درآمد ثانویه از طریق ریدایرکت‌های وابسته (affiliate redirects) ذخیره‌شده در قرارداد هوشمند شبکه Binance Smart Chain تأمین می‌شود. کارشناسان هشدار داده‌اند که این کمپین نشان‌دهنده تحول در روش‌های توزیع بدافزار به سمت پلتفرم‌هایی فراتر از مخازن سنتی بسته‌های نرم‌افزاری است.